Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - tcp:tcp_connect の RCU 猶予期間を超えて kfree md5sig_info延期します tcp_connect()(net/ipv4/tcp_output.c)の md5+ao リコンシリエーションには、次の 2 つの対称ブランチがあります: if (needs_md5) { tcp_ao_destroy_sock(sk, false); } else if (needs_ao) { tcp_clear_md5_list(sk); kfree(rcu_replace_pointer(tp->md5sig_info, NULL, ...)); }両方のブランチは、ソケットが TCP_SYN_SENT にあり、既に inet ehash(tcp_v4_connect() で inet_hash_connect() によって挿入)上にあるときに、そのソケットごとの認証情報オブジェクトを解放します。どちらのブランチも、bh_lock_sock_nested()が取得される前に暗黙のRCUを介して対応する情報ポインターをロードするsoftirq RXパスリーダーによって到達できます。needs_md5 ブランチは、tcp_ao_destroy_sock() に call_rcu() 解放を再導入することで、以前のパッチで修正されています:同等のキーごとのループが RCU コールバックである tcp_ao_info_free_rcu() 内で実行されるため、それぞれを解放するまでにtcp_ao_keyコンテナをキャプチャしたすべての softirq リーダーは rcu_read_unlock() を完了しています。needs_aoブランチは、同じように対称ではありません。コンテナの解放は kfree_rcu(md5sig, rcu) によって延期することができます -- struct tcp_md5sig_info には必要な rcu メンバー(include/net/tcp.h:1999-2002)がすでに存在しており、ツリーの残りの部分は tcp_md5sig_info_add() ロールバックパス(net/ipv4/tcp_ipv4.c:1410, 1436)でこれを既に行っています。ただし、キーごとの取り壊しは、コンテナのRCU猶予期間の前に、プロセスのコンテキストでtcp_clear_md5_list()によって行われます。md5sig->head 以上をウォークし、裸の hlist_del + kfree で各tcp_md5sig_keyを解放します。での同時 softirq リーダー
    __tcp_md5_do_lookup() / __tcp_md5_do_lookup_exact() (tcp_ipv4.c:1253, 1298) は、hlist_for_each_entry_rcu() を介して同じリストを移動し、キー自体の bare kfree で競合します -- 同じ競合ウィンドウでの、TCP-AO のバグと同じクラスのキーごとの use-after-free です。これを半分に分けて修正します:1.
    tcp_connect() の bare kfree() を kfree_rcu() に変換して、md5sig_infoコンテナが残りの md5sig ライフサイクルに参加するようにします。ローカル変数のリフトは機械的であり、kfree_rcu()が左辺値を期待するマクロであるため、必要です。2. hlist_del + kfree(key) を hlist_del_rcu + kfree_rcu(key, rcu) に置き換えることにより、tcp_clear_md5_list() RCU セーフにします。struct tcp_md5sig_key は rcu メンバー(include/net/tcp.h:1995)をすでに運び、tcp_md5_do_del()(net/ipv4/tcp_ipv4.c:1456)はすでに kfree_rcu を使用しているため、これにより、1 回限りを導入するのではなく、ファイルの残りの部分が従うライフサイクル不変が復元されます。tcp_clear_md5_list()のもう1つの呼び出し元はtcp_md5_destruct_sock()(net/ipv4/tcp.c:412)で、ソケットがすでにハッシュされておらず、到達不能なときにsockデストラクタから実行されます。そこにある追加の猶予期間は不必要ですが、無害です。ヘルパーを無条件に RCU セーフにすることが、よりクリーンなコントラクトです。needs_ao ブランチは、AO 側のスプラットのデモンストレーションに使用される userns リプロデューサーによって到達できません (複製は両方のキーをインストールしますが、接続ピアが AO キーではなく MD5 キーに一致するため、needs_md5 ブランチで終了します)。ただし、対称競合が存在し、このコードに触れるメンテナーは、どのブランチが RCU をエスケープし、どのブランチがエスケープしないかを考える必要はありません。 [また、情報提供:Qihang 氏、これが tcp-diag と競合することを発見しました](CVE-2026-72139)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-72139

critical Nessus プラグイン ID 337427

バージョン 1.3